新建了个web api项目，运行起来访问api/values的时候提示已拒绝为此请求授权

不会有人这样构造实现的：http://xxxxxxx?token=issued_token 将token曝露在url中不安全而且代码实现时也很丑

GET http://10.10.134.63:9002/api/Account/UserInfo HTTP/1.1
Host: 10.10.134.63:9002
User-Agent: Mozilla/5.0 (Windows NT 6.3; WOW64; rv:32.0) Gecko/20100101 Firefox/32.0
Accept: */*
Authorization: Bearer u3kZgQLUbMn2wX0JPF4Os75qi2XugVcNUR5k_p

Authorization: Bearer YOUR_ACCESS_TOKEN 官方文档：http://www.asp.net/web-api/overview/security/individual-accounts-in-web-api

把这个特性注释了就行了[Authorize]

[quote=引用 14 楼 zhaoyaoxing 的回复:] 是。 理论上来说，跟vs2015建出来的不会有太大差别

是。 理论上来说，跟vs2015建出来的不会有太大差别

具体的返回值你可以看一下response。里面有token，再访问values的时候带上。

[quote=引用 10 楼 zhaoyaoxing 的回复:] 先调用register创建一个用户 然后用此用户名和密码post到/token

先调用register创建一个用户 然后用此用户名和密码post到/token

[quote=引用 7 楼 ymq_2012 的回复:] 你要是用vs自检的 他用的ef生成的sql，你修改一下连接数据库的配置，然后生成一下，你也可以不用他们的登录方法，自己写登录方法

你要是用vs自检的 他用的ef生成的sql，你修改一下连接数据库的配置，然后生成一下，你也可以不用他们的登录方法，自己写登录方法

正如我贴的代码的第一部分，token不过是个路径，它被map到了一个实现里，map的时候指明了实现是由ApplicationOAuthProvider负责的。 正如贴的第二段代码，是ApplicationOAuthProvider基于其父类做的实现。说明了其实现的具体内容。尤其是GrantResourceOwnerCredentials这个方法。是验证机制和token的颁发。 它的示例代码里，只有用户名和密码的验证，你一样可以改造方法，添加上手机号和短信验证码的方式等等。 当然了，这只是示例。production env中还有很多需要考虑的问题，比如token的维持和refresh，多台web server时相互之间的token认证共享什么的。 话说，小朋友你在哪个城市的？你的这种求知精神难能可贵，让人欣赏啊

[quote=引用 2 楼 ymq_2012 的回复:]

private string GetToken(string host)
        {
            var client = new RestClient(host);
            var request = new RestRequest("/token", Method.POST);
            request.AddParameter("grant_type", "password");
            request.AddParameter("userName", "用户名");
            request.AddParameter("password", "密码");
            //request.AddHeader("Authorization", Convert.ToBase64String(Encoding.ASCII.GetBytes(clientId + ":" + clientSecret)));
            var response = client.Execute(request);
            var s = JObject.Parse(response.Content)["access_token"].Value<string>();
            return s;
        }

这个是因为你没有登录的原因，下面是我写的一个获取token的方法，你看看

private string GetToken(string host)
        {
            var client = new RestClient(host);
            var request = new RestRequest("/token", Method.POST);
            request.AddParameter("grant_type", "password");
            request.AddParameter("userName", "用户名");
            request.AddParameter("password", "密码");
            //request.AddHeader("Authorization", Convert.ToBase64String(Encoding.ASCII.GetBytes(clientId + ":" + clientSecret)));
            var response = client.Execute(request);
            var s = JObject.Parse(response.Content)["access_token"].Value<string>();
            return s;
        }

你写的webapi 下这个项目有个ApplicationOAuthProvider 类，你可以在这里实现自己的登录方式

/// 用户名密码的认证
        /// </summary>
        /// <param name="context"></param>
        /// <returns></returns>
        public override async Task GrantResourceOwnerCredentials(OAuthGrantResourceOwnerCredentialsContext context)
        {
            bool loginSuccess = true;
            int userId = 0;
            //令牌中间件提供者允许CORS
            context.OwinContext.Response.Headers.Add("Access-Control-Allow-Origin", new[] { "*" });
            //验证用户名和密码
            var userName = context.UserName;
            var password = context.Password;
            ManagerUser user = new ManagerUserCollection().Where(ManagerUser.Columns.UserName, userName).Where(ManagerUser.Columns.Password, password).Where(ManagerUser.Columns.DeleteMark, 0).Load().FirstOrDefault();
            if (user != null && user.Id > 0)
            {
              //登录成功的处理
                loginSuccess = true;
            }
            else
                loginSuccess = false;
            if (loginSuccess)
            {
                var oAuthIdentity = new ClaimsIdentity(context.Options.AuthenticationType);
                oAuthIdentity.AddClaim(new Claim(ClaimTypes.Name, context.UserName));
                oAuthIdentity.AddClaim(new Claim(ClaimTypes.UserData, userId.ToString()));
                var authenticationProperties = new AuthenticationProperties();
                var ticket = new AuthenticationTicket(oAuthIdentity, authenticationProperties);
                context.Validated(ticket);
            }
            else
            {
                context.SetError("invalid_grant", "用户名或密码不正确。");
                return;
            }
            base.GrantResourceOwnerCredentials(context);
        }

private string GetToken(string host)

        {

            var client = new RestClient(host);

            var request = new RestRequest("/token", Method.POST);

            request.AddParameter("grant_type", "password");

            request.AddParameter("userName", "用户名");

            request.AddParameter("password", "密码");

            //request.AddHeader("Authorization", Convert.ToBase64String(Encoding.ASCII.GetBytes(clientId + ":" + clientSecret)));

            var response = client.Execute(request);

            var s = JObject.Parse(response.Content)["access_token"].Value<string>();

            return s;

        }